Amazon Inspector(プレビュー) が 脆弱性(CVE)を検知するか確認する

こんにちは、ひろかずです。

[忙しい人のためのAmazon Inspector User Guide まとめ](http://qiita.com/fnifni/items/75e0330715d3e3964557)を作る中で、[ハンズオン形式で脆弱性を作りこんで検知させる章](https://docs.aws.amazon.com/inspector/latest/userguide/inspector_quickstart.html)があったので、Ubuntu環境で作りこんだ脆弱性(CVE)を検知するか確認します。

#工程
1.Ubuntuインスタンスを起動する
2.脆弱性の確認
3.Amazon Inspectorで検査
4.結果の確認
5.結果の管理

#1.Ubuntuインスタンスを起動する
今回は、Amazon Inspectorに対応するUbuntu14.04LTSで、shellshockが公表される2014/9/24以前のインスタンスを用意しました。

* ubuntu/images/hvm-ssd/ubuntu-trusty-14.04-amd64-server-20140607.1 - ami-e7b8c0d7

インスタンスに検査用のタグを作成しておきます。
![inspector_tag.png](https://qiita-image-store.s3.amazonaws.com/0/46611/9037fcd2-4134-b295-5683-55bdbc796f58.png "inspector_tag.png")


#2.脆弱性の確認
shellshockの脆弱性に該当するか、確認コマンドで確認します。

```
ubuntu@ip-172-31-33-45:~$ env x='() { :;}; echo this bash is vulnerable' bash -c :
this bash is vulnerable
```

該当してますね。
期待値は、以下CVEの一部、または全部が検知されることとします。

* CVE-2014-6271
* CVE-2014-7169
* CVE-2014-6277
* CVE-2014-6278

#3.Amazon Inspectorで検査
Applicationsは[前回](http://qiita.com/fnifni/items/76059ce09acc25c70ce8)作成したものを使用します。
![Applications.png](https://qiita-image-store.s3.amazonaws.com/0/46611/bbae884c-143c-2532-7ef9-7f1d48328c2d.png "Applications.png")

以下のようにAssesmentsを作成しました。
今回はCVEを検知して欲しいので、Rule packagesは `Common Vulnerabilities and Exposures` を選択します。
![Assessments.png](https://qiita-image-store.s3.amazonaws.com/0/46611/c05e8be7-8879-4b4d-c810-89a9ff54d92a.png "Assessments.png")

`Create & run` をクリックして、待つこと1時間...

#4.結果の確認
90ものCVEが検出されました。
(※注意：AWSマネジメントコンソールの言語設定を `英語` にすること)
![Findings.png](https://qiita-image-store.s3.amazonaws.com/0/46611/5badbf3b-c49f-83f3-ebf3-01d525b175a4.png "Findings.png")

期待値のCVEも含まれていますね。
![6271.png](https://qiita-image-store.s3.amazonaws.com/0/46611/20a0587a-f229-bbd5-bc10-f691934b3456.png "6271.png")
![6277.png](https://qiita-image-store.s3.amazonaws.com/0/46611/41660719-f839-f5eb-b2aa-6a9a0d16312e.png "6277.png")
![6278.png](https://qiita-image-store.s3.amazonaws.com/0/46611/02928012-71a3-a3e5-133e-027aab434971.png "6278.png")
![7169.png](https://qiita-image-store.s3.amazonaws.com/0/46611/857fea62-ab88-1317-afc1-349bf0c6c19f.png "7169.png")

脆弱性の内容はこのように表示されました。
Discriptionにbashの脆弱性であることが示され、対応方法はCVEのページを参照するように案内されています。
![6278_gaiyo.png](https://qiita-image-store.s3.amazonaws.com/0/46611/25e07bc5-9420-06f7-0fcd-8c11bce6c770.png "6278_gaiyo.png")

実運用上では、インスタンスID毎や `bash` 等のキーワードでフィルタしてまとめたりすることになりそうです。
`bash` でフィルタすると以下のように表示されました。
![filter_bash.png](https://qiita-image-store.s3.amazonaws.com/0/46611/1f56d86c-8e4e-5a44-1d58-af6b7e9f78b8.png "filter_bash.png")

#5.結果の管理
各Findingsは、Attributesタグを入れて管理できます。
実運用上では、担当とステータスを管理することになると思います。
ひろかずにアサインして、処理中のステータスにします。
![attribute.png](https://qiita-image-store.s3.amazonaws.com/0/46611/907e8077-9507-031e-abf7-40cc4658aef8.png "attribute.png")

status `inProcess` でフィルタすると検索できます。
![inProcess.png](https://qiita-image-store.s3.amazonaws.com/0/46611/43eb291a-ddce-6845-b0df-8d2849d74256.png "inProcess.png")

各Finding詳細画面にはAttributesタグが表示されないですね。
個人的にはAttributesタグも表示されて欲しかったので、少し残念です。
![attributes_after.png](https://qiita-image-store.s3.amazonaws.com/0/46611/886c1eba-f1ac-0545-74f7-a8c84d06a022.png "attributes_after.png")

期待通りの結果を得ることができました。
お疲れ様でした。